Sansan株式会社が提供するキャリアプロフィール「Eight」、朝日インタラクティブ株式会社が運営する中小企業向けウェブメディア「ツギノジダイ」の共催イベント「日本を変える 中小企業リーダーズサミット2023」より、日本ハッカー協会の代表理事・杉浦隆幸氏の講演の模様をお届けします。本記事では、中小企業が取るべきセキュリティ戦略の基本や、中小企業で大企業並みの「ゼロトラスト」を実現する方法などが語られました。 中小企業のセキュリティ年間予算は「100万円以下」 司会者：「ハッカーが教える、妥協しない高コスパなセキュリティ対策」と題し、一般社団法人日本ハッカー協会代表理事・杉浦隆幸さんよりご講演いただきます。それでは杉浦さん、よろしくお願いいたします。みなさん盛大な拍手でお迎えください。 （会場拍手） 杉浦隆幸氏：今日は「ハッカーが教える、妥協しない高コスパなセキュリティ対策」ということで、

JPCERTコーディネーションセンター(JPCERT/CC: Japan Computer Emergency Response Team Coordination Center)は7月3日、「JVN#64316789: SoftEther VPN および PacketiX VPN における複数の脆弱性」において、筑波大学のSoftEther VPN Projectが提供している「SoftEther VPN」、ソフトイーサが提供している「PacketiX VPN」に複数の脆弱性が存在するとして、注意を呼び掛けた。これらの脆弱性は、攻撃者によるDoS攻撃や任意のコード実行、管理者権限での接続などの行為に悪用される危険性がある。 JVN#64316789: SoftEther VPN および PacketiX VPN における複数の脆弱性 PacketiX VPNはソフトイーサによって開発され

映画『Winny』の公開に伴い、記憶から消えかけている20年前の諸々の思い出話をする「Winnyとは何だったのか v2.0b7.1」。ここで杉浦氏が登壇。Winnyを解析してわかったことと、当時リリースしたサービスについて紹介します。 Winnyの解析をしていた杉浦氏 杉浦隆幸氏（以下、杉浦）：杉浦です。今日は「Winny解析技術と」ということで、（Winnyを）解析した当初（のこと）を思い出して話そうと思います。 自己紹介ですが、Winnyの暗号技術を解読した人ということで。今日はそれで十分かと思います。当時の趣味は通信の解析で、いろいろな通信を解析していました。楽しかったです。 映画『Winny』を、2月14日に舞台挨拶付きの試写会で観てきました。非常に楽しかったので、今日の発表はその伏線も入れたものとなります。 Winnyの登場、そして逮捕者の発生 （スライドを示して）20年前。47

1月下旬、ネット上を「PPAP」という言葉が駆け巡った。YouTubeで1億回以上再生されたピコ太郎さんの楽曲「ペンパイナッポーアッポーペン」ではなく、パスワード付きファイルをメールに添付して送ることを指す。 そもそもPPAPとは「Password付きZIPファイルを送ります、Passwordを送ります、Aん号化（暗号化）Protocol（プロトコル）」の略。まず暗号化したパスワード付きZIPファイルを添付したメールを送り、その直後に解凍する際のパスワードを別のメールで送るという手順を指す。 PPAPは添付ファイルの中身を盗み見されたくない、誤送信しても中身を見られないようにしたい、といった理由で広がった。 だが、「ZIPファイルのパスワードは総当たりで突破できるため、盗聴対策にはならない。誤送信対策としても、結局メールでパスワードを送るので、その前に誤送信に気づかなければ意味がない。本来

EMOTETというマルウェアは2014年にはじめて確認されて以来、様々な変化を遂げてきました。当初はオンライン銀行の認証情報窃取を主な目的としたオンラインバンキングマルウェアとして認知されていましたが、その後、様々な変更が加えられ、現在においては2014年出現当時とは全く異なる挙動や目的を持ったマルウェアとなっています。 2018年末現在、EMOTETは世界中で積極的に拡散され被害拡大が懸念されており、日本国内も例外ではなく、様々な企業へEMOTETの感染を狙った不正メールが届いている状況にあります。 そうした状況にもかかわらず、少なくとも国内においては、今のところ現在のEMOTETに関する感染から挙動に至るまでのまとまった情報が見当たりません。 そのため、今年11月～12月に実際の国内企業への攻撃で使用されたEMOTETの不正メールを元に、我々が調査した結果と現在のEMOTETの全体像を

Password reuse and credential stuffing Password reuse is normal. It's extremely risky, but it's so common because it's easy and people aren't aware of the potential impact. Attacks such as credential stuffing take advantage of reused credentials by automating login attempts against systems using known emails and password pairs. NIST's guidance: check passwords against those obtained from previous

Breaches you were pwned in A "breach" is an incident where data has been unintentionally exposed to the public. Using the 1Password password manager helps you ensure all your passwords are strong and unique such that a breach of one service doesn't put your other services at risk. Pastes you were found in A paste is information that has been published to a publicly facing website designed to share

中国・上海で開かれた見本市で米半導体大手AMDのカウンターに立つ訪問客。IMAGINECHINA提供（2013年7月25日撮影、資料写真）。(c)WENG LEI / IMAGINECHINA 【3月14日 AFP】イスラエルの情報セキュリティー企業CTSラボ（CTS Labs）は13日、米半導体大手アドバンスト・マイクロ・デバイス（AMD）の最新CPUやチップセットに、コンピューターやネットワークの乗っ取りに利用される恐れがある欠陥が見つかったと明らかにした。 今年初めには、米インテル（Intel）製のCPUにも「スペクター（Spectre）」や「メルトダウン（Meltdown）」と呼ばれる同様の脆弱（ぜいじゃく）性が見つかり、コンピューターセキュリティーをめぐる懸念が広まっていた。 CTSが公表した20ページの報告書によれば、今回見つかった欠陥は13件で、問題の製品は一般消費者向けの製

いま話題のCPU脆弱性Meltdownですが、 各OSベンダーからカーネルのパッチが配布され始めました。 個人で利用しているEC2にパッチを適用して、ベンチマークをとったところ、 トータルスコアが25％低下という結果が出ましたのでまとめます。 ※環境やCPUの種類やベンチマークの取り方で変わるので、 必ずしも全ての環境においてこの結果が正しいわけではありません。 環境とスペック EC2インスタンスタイプ：t2.midium OS： 3.10.0-693.11.6.el7.x86_64 (CentOS 7) CPU： Intel(R) Xeon(R) CPU E5-2676 v3 @ 2.40GHz (2コア) 結論 コンテキストスイッチの速度が低下する。 Meltdown関連の記事にもあるように、 パッチ適用によってカーネルモードとユーザモードのアドレス空間を分離する措置が取られるため、

プロセッサの脆弱性問題、Azureは対策済み、オンプレミスの対応策は？――Windows関連のまとめ：Microsoft Azure最新機能フォローアップ（46）（1/2 ページ） 2018年の年明け早々、「Meltdown」や「Spectre」と呼ばれるプロセッサの脆弱性問題が公表され、IT業界全体でゼロデイ攻撃のリスクが高まっています。Microsoft AzureおよびMicrosoftのその他のクラウドサービスは、2018年1月4日時点で既に対策が完了しているとのことです。 連載目次 IT業界全体に及ぶプロセッサの脆弱性問題 2018年の年明け早々、大部分のシステムに影響するプロセッサハードウェアに存在する脆弱（ぜいじゃく）性が公表されました。当初、ほとんどはIntel製のプロセッサに存在する脆弱性であり、その影響はWindows、Linux、Android、Chrome、iOS、

2018年の年明けから大騒ぎとなっているSpectreとMeltdownの脆弱（ぜいじゃく）性をざっくりと解説する。プロセッサの何が問題となって脆弱性が起きているのだろうか？ 連載目次 2018年正月早々、プロセッサ業界に騒動が起きている。すでにあちらこちらで報道されているのでご存じの方も多いと思うが、Spectre（スペクター）とMeltdown（メルトダウン）と呼ばれるプロセッサの脆弱性の問題である（脆弱性の詳細は、Google Project Zeroの「Reading privileged memory with a side-channel 」参照のこと）。 脆弱性は、以下の3つである。「Variant 1」と「Variant 2」がSpectreと呼ばれるもの、「Variant 3」がMeltdownと呼ばれる脆弱性だ。 Variant 1: bounds check bypa

2018年1月、Intel製CPUにハードウェア設計上の脆弱性がある事が報道されました。この修正によりCPU性能が大幅に低下する事が問題点として挙げられています。 個人的にこの脆弱性について疑問点があったので調べてみました。 スポンサーリンク 報道の震源地はどこ？ 日本でCPUの脆弱性について報道されたのは、1月4日のことです。 The Register記事：Kernel-memory-leaking Intel processor design flaw forces Linux, Windows redesign 最初にこの件を報じたのは、英国の”The Register”と言う技術系のニュースサイトでした。投稿日時は現地時間の1月2日19時29分（日本時間：1月3日3時29分）です。Intel製CPUにハードウェ設計上の欠陥が見つかり、OS側の修正により5～30%も処理性能が低下する

オンプレミスからクラウドへの移行をはじめ、ハイブリッドクラウド環境をシームレスに保護しながら、クラウドの利点を実現します。 詳しくはこちら

日本では松の内が明けたか明けないかの内に騒ぎとなったインテル製プロセッサーの脆弱性に関する報道。 もともとは2017年の早い時期に発見されたもので、その問題の大きさもあってGoogleでセキュリティー問題の対処を行なうProject Zeroチームが昨年から主要なCPUベンダーやOSベンダーに連絡を行なっており、今年の早い時期に対応を含めたアナウンスが行われる予定であった。 ただこの情報が、オフィシャルアナウンスの前に流出した。当初はロシアの4chanで報じられたらしいのだが、当該スレッドは見つけられなかった。ただ広く報じられるようになったきっかけは、The Registersの記事である。これを受けて主要なベンダーはいずれも自社の製品についてのアナウンスを緊急に公開している。 一覧で示すと、以下のようになる。他にOSベンダーやクラウドプロバイダーなども相次いでレポートを出しており、まもな

近代CPUの脆弱性｢メルトダウン｣と｢スペクター｣の現状・対策をできるだけ簡潔にまとめました2018.01.06 13:0333,986 西谷茂リチャード インテル入っちゃってる？ 各種CPUに｢メルトダウン｣と｢スペクター｣という脆弱性（設計ミス）が見つかりました。パスワードを含め、あらゆる情報がアプリやサイトなどに抜き取られてしまう可能性があります。怪しいアプリやサイトは避け、使用しているパソコンやスマホのOSや（信頼している）アプリを最新のものに保ってください。 脆弱性の詳細二つの脆弱性、メルトダウンとスペクターが見つかったわけですが、内容は結構似ています。どちらともほぼすべての近代CPUが採用している、｢投機的実行｣という高速化のプロセスを悪用するものです。このプロセスは、実行されるであろう処理を先回りして実行することで、その一つ前の処理の結果が出るまでの時間を有効活用しよう、とい

巷ではIntel, AMD, ARMを巻き込んだCPUのバグ "Meltdown", "Spectre" が話題です。 これらの問題、内容を読み進めていくと、コンピュータアーキテクチャにおける重要な要素を多く含んでいることが分かって来ました。 つまり、このCPUのセキュリティ問題を読み解いていくと現代のマイクロプロセッサが持つ、性能向上のためのあくなき機能追加の一端が見えてくるのではないかと思い、Google, Intelの文献を読み解いてみることにしました。 が、私はセキュリティの専門家ではありませんし、過去にデスクトップPC向けのような大規模なCPU設計に参加したこともありません。 あくまでコンピュータアーキテクチャに比較的近い場所にいる人間として、この問題の本質はどこにあるのか、可能な限り読み解いていき、現代のマイクロプロセッサが持つ高性能かつ高機能な内部実装について解き明かしていき